Как передать значение в команду sqlite3?

Question

[szjyakgf]

У меня есть таблица users, например мне нужно узнать сколько 1 в столбце n6(столбец с цифрами 1,2,3):

cur.execute("SELECT COUNT(*) FROM users WHERE n6 == 1")
xxx = cur.fetchone()
print(xxx)#получаю вывод: (5,)

Все работает, но нужно искать 1 не только в n6, есть еще другие столбцы n7, n8, n9... Для этого мне нужно подставить название столбца, но оно не работает:

mmml = 'n' + str(6)
cur.execute("SELECT COUNT(*) FROM users WHERE ? == 1", (mmml, ))
xxx = cur.fetchone()
print(xxx)#получаю вывод: (0,)

В чем может быть проблема? При подстановке n6, вывод всегда (0,) без разницы на данные из таблицы

Comments

[Elvis]

Если у вас есть такие столбцы, то советую пересмотреть архитектуру БД, это не правильно. Почитайте про нормализации БД. Хотя бы до 3 нормали.

Answer 1

[o5a]

Подстановка значений в таком виде НЕ работает для идентификаторов, которыми являются названия таблиц и полей. В данном случае подставить можно через обычное форматирование строки:

cur.execute("SELECT COUNT(*) FROM users WHERE {} == 1".format(mmml))
или
cur.execute(f"SELECT COUNT(*) FROM users WHERE {mmml} == 1")

Возможно правильнее будет изменить сами таблицы, ведь эти нумерованные n1...6 похожи на какие-то костыли.

Comments

[Сергей Горностаев]

Не просто так подобное нельзя делать в prepared statements. Во-первых, это противоречит принципам работы с реляционными базами данных. Во-вторых, это делает код уязвимым для sql injection.

[o5a]

Сергей Горностаев, что противоречит? Привязка переменных в принципе не будет работать с именами полей, как в его случае.

Answer 2

[Александр]

кровь из глаз :)

cur.execute("SELECT COUNT(*) FROM users WHERE ? = 1 OR ? = 1 ", ("n7","n8" ))
xxx = cur.fetchall()